BlueCrabランサムウェア、企業環境ではCobaltStrikeハッキングツールをインストール Posted on 2021年 February 1日 AhnLab ASEC 分析チームは JS 形式で出回っている BlueCrab ランサムウェア(= Sodinokibi、REvil)感染プロセスで、特定条件においては CobaltStrike ハッキングツールを配布することを確認した。CobaltStrike ハッキングツールは、本来は合法的な目的でペネトレーションテストのために限定的に使用されていたツールであったが、最近ソースコードが流出された以降、マルウェアにおいても活発に使用されている。最近確認された BlueCrab…
検出回避を実行し続けているBlueCrabランサムウェア Posted on 2021年 January 28日 BlueCrab ランサムウェア(=Sodinokibiランサムウェア)は、韓国国内のユーザーをターゲットに活発に出回っているランサムウェアで、複数の検索ワードを利用して生成された偽のフォーラムページを通して拡散することが特徴である。配布元ページからダウンロードされた JS ファイルを開くと、感染プロセスが開始される。この配布元ページは検索エンジンの検索結果の上位に表示されるため、ユーザーがアクセスしやすく、頻繁に多くのユーザーから感染が報告されている。AhnLab ASEC 分析チームは、このランサムウェアに関連する様々な記事を掲載している。 新たに変形して拡散するJS.BlueCrabランサムウェア BlueCrabランサムウェア配布元サイトの公開 (2) BlueCrab ランサムウェアは、アンチウイルスソフトを回避するために頻繁に変形を作り出しているが、各感染段階ごとに様々な変形を作り出して診断の回避を試みている。このランサムウェアは長期間変形することなく維持されたあと、時折数か月間で非常に活発に変形を作り出す特徴を示してきた。2019年11月から2020年1月まで活発な変形が確認されたあと、しばらくは大きな変化がなかったが、2020年10月から12月までの間は頻繁に変形が確認された。この記事では、BlueCrab ランサムウェアの感染プロセスを解説し、アンチウイルスソフトを回避するための攻撃プロセスの変更内容について説明する。…
企業をターゲットにした電子メールに注意 Posted on 2021年 January 27日 「見積依頼の件」という件名の不正な電子メールが企業を対象に多数出回っている。昨年下半期から現在まで続いているこの不正なスパムメール攻撃は、ユーザーのアカウントを奪取する目的で不特定多数の企業に拡散されている。ユーザーの会社メールアカウントを奪取するためにフィッシング Web ページへの接続を誘導または、情報流出型マルウェアである Lokibot 実行ファイルを配布している。電子メールの件名は現在までに「見積依頼の件」または「見積の件(日付)」という形式が確認されている。 以下は、1月26日、報道機関に送信された電子メールである。 電子メールは2つの HTML ページを添付ファイルとして添付している。タイトルのみが異なる同じファイルであり、ブラウザを利用してページを開くと内部に挿入されているスクリプトを通して不正な Web ページのアドレスにリダイレクトする。接続先のアドレスは、ユーザーの電子メールアカウント情報を入力するフィッシング Web…
流通大手企業A社を攻撃したCLOPランサムウェアの解析レポート公開 Posted on 2021年 January 5日 AhnLab、CLOPランサムウェアを深層解剖 昨年11月、セキュリティ業界だけでなく、韓国国内産業群の全体を騒がせた事件が発生した。屈指の流通大手である E-Land システムが「CLOPランサムウェア」(CLOP Ransomware)に感染したのである。A社関係者の言葉を引用した報道によると、全体オフライン店舗のうち約半分が影響を受け、営業に支障を来たしたと発表された。この事件は、ランサムウェアが企業の規模を問わないという事と、さらに、このような攻撃が韓国国内産業において現実味をおびてきたという事実を実感させるきっかけとなった。 今回 AhnLab は、E-Land を攻撃した CLOP ランサムウェアの拡散経路および復旧の可能性、そして CLOP…
Discordを利用して違法なポルノと共に拡散するマルウェア Posted on 2020年 December 21日 AhnLab ASEC 分析チームは、最近 Discord メッセンジャーを通じて RAT (Remote Administration Tool)マルウェアが拡散していることを確認した。現在、このマルウェアをダウンロードするダウンローダーマルウェアが「アダルト動画リンク.exe」という名前で出回っており、このマルウェアが実行されると、外部から RAT マルウェアをダウンロードしてインストールする。 Discord…
